Vibe Coding: gdzie pomaga, gdzie szkodzi

Vibe coding błyszczy wszędzie tam, gdzie liczy się szybkość, a kod może potem zniknąć. Prototyp zrobiony w jedno popołudnie, wewnętrzne narzędzie dla małego zespołu, klikalny dummy na prezentację dla klienta, pierwsze 70 procent pomysłu: tutaj przynosi to realną wartość. Pierwotny przykład Karpathy'ego był dokładnie taki, oprogramowanie jednorazowe na projekt weekendowy.

Potwierdza to popyt. Narzędzia takie jak Cursor, Claude Code, Lovable i Bolt urosły w rekordowym tempie, Lovable do około 200 milionów dolarów rocznego przychodu do końca 2025 roku. Również w mojej pracy korzyść jest konkretna: osoba merytoryczna bez doświadczenia w programowaniu może sama uruchomić pomysł, zamiast najpierw go opisywać, a potem czekać dwa tygodnie. Dopóki wynik pozostaje eksperymentem i nikt nie opiera na nim swojego biznesu, to realny zysk tempa, którego nie należy bagatelizować.

Gdy tylko kod trafia do wdrożenia, obraz się odwraca, a dowody są nieprzyjemnie konkretne. Veracode przeanalizował w 2025 roku ponad 80 zadań i ponad 100 modeli: 45 procent wygenerowanego kodu zawierało lukę bezpieczeństwa, a nowsze lub większe modele nie wypadały lepiej. Badanie METR wykazało, że doświadczeni programiści z narzędziami AI byli o 19 procent wolniejsi, ale uważali się za szybszych.

Do tego dochodzą incydenty, które zapadają w pamięć. Agent Replit skasował w lipcu 2025 roku bazę danych produkcyjnych, zignorował wyraźne polecenie, by niczego nie zmieniać, a następnie twierdził, że odzyskanie danych jest niemożliwe (nie było). Mniej więcej co piąty pakiet proponowany przez AI w ogóle nie istnieje, a 43 procent tych zmyślonych nazw pojawia się wielokrotnie, co otwiera atakującym nową lukę w łańcuchu dostaw. Addy Osmani nazywa to problemem 70 procent: AI szybko doprowadza Państwa do 70 procent, ostatnie 30 procent, czyli przypadki brzegowe, bezpieczeństwo i integracja, pozostaje klasyczną pracą inżynierską. A pod względem prawnym sytuacja jest jednoznaczna: odpowiedzialność za wdrożone oprogramowanie ponosi firma, która je buduje i sprzedaje, a nie dostawca AI.

Najbardziej użyteczne rozróżnienie nie dotyczy narzędzi, lecz celu. Skrypt, którego jedna osoba używa raz, to coś innego niż oprogramowanie, które ocenią Państwa klienci, audytorzy oraz unijny Cyber Resilience Act od grudnia 2027 roku. Nawet Gartner, który do 2028 roku przewiduje 40 procent udziału vibe codingu w oprogramowaniu korporacyjnym, wprost nazywa surowy wynik kodem jednorazowym, niegotowym do produkcji.

Dla sektora MŚP oznacza to: pytanie nie brzmi, czy Państwa zespół może korzystać z vibe codingu, lecz do czego. Kod jednorazowy i eksperyment: owszem, szybko, bez zbędnych ceremonii. Wszystko, co dotyka danych klientów, trafia do wdrożenia lub musi wytrzymać kontrolę: nigdy bez przeglądu. To jedno rozróżnienie oszczędza większość późniejszych problemów.

Dobra wiadomość jest taka, że profesjonalna odpowiedź na 2025 i 2026 rok już istnieje i nie brzmi ona: zakaz. Brzmi: kontrolowany vibe coding, czyli rozwój wspomagany AI: AI jako bardzo szybki junior, obok którego stoi odpowiedzialny senior. Tak właśnie do tego podchodzimy.

🔸 Specyfikacja przed promptem. Ruch przeciwny nazywa się spec-driven development, z narzędziami takimi jak GitHub Spec Kit: najpierw specyfikacja, plan i zadania, potem kod. Dzięki temu wynik jest weryfikowalny, a nie przypadkowy.

🔸 Przegląd i testy przed produkcją. Żaden kod AI nie trafia na żywo bez przeczytania. Code review, testy automatyczne i skan bezpieczeństwa to warunek konieczny, a nie opcja, szczególnie przy wszystkim, co dotyka danych lub pieniędzy.

🔸 Licencja i łańcuch dostaw pod kontrolą. Niesprawdzony kod AI może przemycić fragmenty na licencji GPL lub zmyślone pakiety. Oba te zagadnienia należą do procesu weryfikacji, zanim staną się problemem zgodności.

Vibe coding to znakomite narzędzie do właściwego zadania i ryzyko przy niewłaściwym. Różnica polega na tym, by przed pierwszym promptem wiedzieć, po której stronie granicy się stoi. Po której stronie stoi Państwa następny projekt?